SEC_ERROR_UNKNOWN_ISSUER

Erscheint auf der Warnseite unter „Advanced“ als „Error code: SEC_ERROR_UNKNOWN_ISSUER“; Automatisierungstools melden nur den Code. Selbstsignierte Zertifikate von Websites bekommen auf der Warnseite einen eigenen Code (MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT); der Playwright-Build hat sie in unserem Test nur als SSL_ERROR_UNKNOWN gemeldet.

Firefox (NSS) — "Warning: Potential Security Risk Ahead", certificate issuer not trusted

Was der Fehler bedeutet

Firefox konnte vom Zertifikat der Website keine Kette zu einem Root-Zertifikat in seinem Trust Store bilden und zeigt deshalb „Warning: Potential Security Risk Ahead“ mit dem Fehlercode SEC_ERROR_UNKNOWN_ISSUER. Firefox verwendet seinen eigenen NSS-Root-Store (die Liste von Mozilla), nicht den des Betriebssystems, es sei denn, Enterprise Roots sind aktiviert. Die üblichen Ursachen sind eine private CA, ein Proxy mit TLS-Inspektion oder ein Server, der sein Zwischenzertifikat nicht mitsendet.

Warum der Fehler auftritt

• Eine private CA oder ein Proxy mit TLS-Inspektion

  häufig

  Unter Windows oder macOS installierte Root-Zertifikate des Unternehmens nutzt Firefox nur, wenn security.enterprise_roots.enabled (oder die Richtlinie ImportEnterpriseRoots) aktiviert ist.

• Der Server sendet sein Zwischenzertifikat nicht

  häufig

  Firefox lädt die Zwischenzertifikate öffentlicher CAs vorab, was viele solcher Fehlkonfigurationen verdeckt; private und neue Zwischenzertifikate scheitern trotzdem.

• Das Root-Zertifikat wurde im Betriebssystem installiert, aber nicht in Firefox

  gelegentlich

  Besonders unter Linux gehören Root-Zertifikate aus dem System-Bundle nicht zum Zertifikatsspeicher von Firefox.

So behebst du den Fehler

1. 1.

   Verwaltete Geräte: dem Root-Zertifikat des Unternehmens per Richtlinie vertrauen

   policies.json (oder die entsprechende GPO-/MDM-Einstellung) kann Root-Zertifikate aus dem Zertifikatsspeicher des Betriebssystems importieren (ImportEnterpriseRoots) und zusätzliche CA-Dateien installieren.

   {
     "policies": {
       "Certificates": {
         "ImportEnterpriseRoots": true,
         "Install": ["/etc/ssl/private-ca/corp-root-ca.pem"]
       }
     }
   }

2. 2.

   Eigene Website: vollständige Kette ausliefern

   Konfiguriere die Fullchain-Datei; teste mit einem Client, der keine Zwischenzertifikate zwischenspeichert, etwa openssl.

   # Site owners: Firefox also caches intermediates, so test with a fresh client
   openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null 2>/dev/null \
     | grep -E '^ *[0-9]+ s:|^ *i:'

3. 3.

   Im Browser: vor dem Akzeptieren des Risikos den Aussteller prüfen

   „Accept the Risk and Continue“ legt eine dauerhafte Ausnahme für dieses Zertifikat an; tu das nur für eigene Geräte in Netzwerken, die du selbst verwaltest.

   Click "Advanced" → "View Certificate" and read the issuer before deciding anything:
   company or security-vendor name → trust that root via policy or Settings → Certificates;
   unknown issuer on a public network → do not accept the risk.

← Gesamte Signaturfehler-Datenbank durchsuchen